セキュリティ
ペネトレーションテスト
Penetration Testing
読み：ぺねとれーしょんてすと
合意した範囲で攻撃を模した検証を行い、弱点が実際の侵害へつながる可能性を調べる試験です。
01初心者向け
まず意味をつかむ
弱点の一覧を作るだけでなく、複数の弱点を組み合わせたときに何が起きるかを確かめます。事前に許可を得た対象と方法に限定して実施します。
02実務者向け
仕事でどう使うか
目的、対象、除外、実施時間、停止条件、連絡先を合意します。業務影響を抑える準備をし、発見事項の再現条件、影響、改善策を報告して修正後に再確認します。
03専門家向け
判断を一段深める
試験期間と観点は有限なので、何も見つからなくても安全の証明にはなりません。本番での検証には追加の制約があり、対象外の委託先や共有基盤を無断で試さないよう責任範囲を管理します。
IN PRACTICE
具体例で考える
架空の公開前ポータルで承認済みの試験環境だけを対象とし、権限境界を越えられないかを調べ、修正後に同じ条件で再試験します。
理解を助けるための架空の例です。範囲と停止条件を合意
侵害の可能性を検証
改善と再確認
許可・検証・改善の関係を示す図です。
ここは誤解しやすい
脆弱性スキャンの結果だけで、攻撃経路を実証したペネトレーションテストと呼ばないようにします。
この知識を、組織の力へ。